초기 시나리오는 외부 사용자 AD 계정 수명 주기 관리입니다. 이 시나리오에서 조직은 게스트를 Microsoft Entra 디렉터리에 초대했으며, 해당 게스트에게 Microsoft Entra 애플리케이션 프록시 또는 기타 게이트웨이 메커니즘을 통해 온-프레미스 Windows-Integrated 인증 또는 Kerberos 기반 애플리케이션에 대한 액세스 권한을 부여하려고 합니다. Microsoft Entra 애플리케이션 프록시를 사용하려면 식별 및 위임을 위해 각 사용자에게 고유한 AD DS 계정이 있어야 합니다.
Scenario-Specific 지침
MIM 및 Microsoft Entra ID 애플리케이션 프록시를 사용하여 B2B를 구성하는 몇 가지 가정은 다음과 같습니다.
온-프레미스 AD를 이미 배포했으며 Microsoft Identity Manager가 설치되어 있으며 MIM 서비스, MIM 포털, AD MA(Active Directory Management Agent) 및 FIM MA(FIM 관리 에이전트)의 기본 구성이 설치되어 있습니다. 자세한 내용은 Microsoft Identity Manager 2016 SP2 배포를 참조하세요.
Graph 커넥터를 다운로드하고 설치하는 방법에 대한 문서의 지침을 이미 따랐습니다.
사용자 및 그룹을 Microsoft Entra ID로 동기화하도록 구성된 Microsoft Entra Connect가 있습니다.
애플리케이션 프록시 커넥터 및 커넥터 그룹을 이미 설정했습니다. 그렇지 않은 경우 자습서: Microsoft Entra ID의 애플리케이션 프록시를 통해 원격 액세스를 위한 온-프레미스 애플리케이션을 추가하여 설치 및 구성을 참조하세요.
Microsoft Entra 애플리케이션 프록시를 통해 Windows 통합 인증 또는 개별 AD 계정을 사용하는 하나 이상의 애플리케이션을 이미 게시했습니다.
초대했거나 하나 이상의 게스트를 초대하여 Microsoft Entra ID에서 하나 이상의 사용자가 생성되었습니다. 자세한 내용은 Microsoft Entra B2B 협업 등록을 위한 셀프 서비스를 참조하세요.
B2B 전반적 배포 예시 시나리오
이 가이드는 다음 시나리오를 기반으로 합니다.
Contoso 제약은 R&D 부서의 일환으로 Trey Research Inc.와 함께 작동합니다. Trey Research 직원은 Contoso 제약에서 제공하는 연구 보고 애플리케이션에 액세스해야 합니다.
Contoso 제약은 사용자 지정 도메인을 구성하기 위해 자체 테넌트에 있습니다.
외부 사용자를 Contoso 제약 테넌트에 초대했습니다. 이 사용자는 초대를 수락했으며 공유되는 리소스에 액세스할 수 있습니다.
Contoso 제약은 앱 프록시를 통해 애플리케이션을 게시했습니다. 이 시나리오에서 예제 애플리케이션은 MIM 포털입니다. 이렇게 하면 게스트 사용자가 예를 들어 지원 센터 시나리오에서 MIM 프로세스에 참여하거나 MIM의 그룹에 대한 액세스를 요청할 수 있습니다.
Microsoft Entra ID에서 추가된 사용자를 제외하도록 AD 및 Microsoft Entra Connect 구성
기본적으로 Microsoft Entra Connect는 Active Directory의 관리자가 아닌 사용자를 Microsoft Entra ID로 동기화해야 한다고 가정합니다. Microsoft Entra Connect가 온-프레미스 AD의 사용자와 일치하는 Microsoft Entra ID에서 기존 사용자를 찾으면 Microsoft Entra Connect는 두 계정과 일치하며 사용자의 이전 동기화라고 가정하고 온-프레미스 AD를 신뢰할 수 있게 만듭니다. 그러나 이 기본 동작은 사용자 계정이 Microsoft Entra ID에서 시작되는 B2B 흐름에는 적합하지 않습니다.
따라서 Microsoft Entra ID에서 MIM에 의해 AD DS로 가져온 사용자는 Microsoft Entra ID가 해당 사용자를 Microsoft Entra ID로 다시 동기화하려고 시도하지 않는 방식으로 저장되어야 합니다. 이 작업을 수행하는 한 가지 방법은 AD DS에서 새 조직 구성 단위를 만들고 해당 조직 구성 단위를 제외하도록 Microsoft Entra Connect를 구성하는 것입니다.
자세한 내용은 Microsoft Entra Connect 동기화: 필터링 구성을 참조하세요.
Microsoft Entra 애플리케이션 만들기
참고: MIM 동기화에서 그래프 커넥터에 대한 관리 에이전트를 만들기 전에 Graph 커넥터 배포 가이드를 검토하고 클라이언트 ID 및 비밀로 애플리케이션을 만들었는지 확인합니다.
애플리케이션에 다음 권한 중 하나 이상에 대한 권한이 부여되었는지 확인합니다. User.Read.AllUser.ReadWrite.AllDirectory.Read.AllDirectory.ReadWrite.All
새 관리 에이전트 만들기
Synchronization Service Manager UI에서 커넥터를 선택하고 만들기를 합니다. 그래프(Microsoft)를 선택하고 설명이 포함된 이름을 지정합니다.
연결성
연결 페이지에서 Graph API 버전을 지정해야 합니다. 프로덕션 준비 PAI는 V 1.0이고 비프로덕션은 베타입니다.
전역 매개 변수
프로비저닝 계층 구조 구성
이 페이지는 DN 구성 요소(예: OU)를 프로비전해야 하는 개체 유형(예: organizationalUnit)에 매핑하는 데 사용됩니다. 이 시나리오에는 필요하지 않으므로 기본값으로 두고 다음을 클릭합니다.
파티션 및 계층 구조 구성
파티션 및 계층 페이지에서 가져오고 내보낼 개체가 있는 모든 네임스페이스를 선택합니다.
개체 유형 선택
개체 형식 페이지에서 가져오려는 개체 형식을 선택합니다. 적어도 '사용자'를 선택해야 합니다.
특성 선택
특성 선택 화면에서 AD에서 B2B 사용자를 관리하는 데 필요한 Microsoft Entra의 특성을 선택합니다. 특성 "ID"가 필요합니다. 특성 userPrincipalName 이며 userType 이 구성의 뒷부분에서 사용됩니다. 기타 특성은 선택 사항입니다.
displayNamemailgivenNamesurnameuserPrincipalNameuserType
앵커 구성
앵커 구성 화면에서 앵커 특성을 구성하는 데 필요한 단계입니다. 기본적으로 사용자 매핑에 ID 특성을 사용합니다.
커넥터 필터 구성
커넥터 필터 구성 페이지에서 MIM을 사용하면 특성 필터를 기반으로 개체를 필터링할 수 있습니다. B2B에 대한 이 시나리오에서는 userType 속성 값이 Guest인 사용자만 가져오고, userType이 member인 사용자는 가져오지 않는 것이 목표입니다.
조인 및 프로젝션 규칙 구성
이 가이드에서는 동기화 규칙을 만들 것이라고 가정합니다. 조인 및 프로젝션 규칙 구성은 동기화 규칙에 의해 처리되므로 커넥터 자체에서 조인 및 프로젝션을 식별할 필요가 없습니다. 기본값을 그대로 두고 확인을 클릭합니다.
특성 흐름 구성
이 가이드에서는 동기화 규칙을 만들 것이라고 가정합니다. 나중에 만든 동기화 규칙에 의해 처리되므로 MIM 동기화에서 특성 흐름을 정의하는 데 프로젝션이 필요하지 않습니다. 기본값을 그대로 두고 확인을 클릭합니다.
프로비전 해제 구성
프로비전 해제를 구성하는 설정을 사용하면 메타버스 개체가 삭제된 경우 개체를 삭제하도록 MIM 동기화를 구성할 수 있습니다. 이 시나리오에서는 Microsoft Entra ID에 그대로 두는 것이 목표이므로 그들을 차단기로 만듭니다. 이 시나리오에서는 Microsoft Entra ID로 아무것도 내보내지 않으며 커넥터는 가져오기 전용으로 구성됩니다.
확장을 구성
이 관리 에이전트에서 확장 구성은 옵션이지만 동기화 규칙을 사용하고 있으므로 필수는 아닙니다. 이전에 특성 흐름에서 고급 규칙을 사용하기로 결정한 경우 규칙 확장을 정의하는 옵션이 있습니다.
메타버스 스키마 확장
동기화 규칙을 만들기 전에 MV 디자이너를 사용하여 person 개체에 연결된 userPrincipalName이라는 특성을 만들어야 합니다.
동기화 클라이언트에서 메타버스 디자이너를 선택합니다.
그런 다음, Person 개체 유형을 선택합니다.
다음 작업에서 특성 추가를 클릭합니다.
그런 다음, 다음 세부 정보를 완료합니다.
특성 이름: userPrincipalName
특성 형식: 문자열(인덱싱 가능)
인덱싱됨 = True
MIM 서비스 동기화 규칙 만들기
아래 단계에서는 B2B 게스트 계정 및 특성 흐름의 매핑을 시작합니다. Active Directory MA가 이미 구성되어 있고 사용자를 MIM 서비스 및 포털로 가져오도록 FIM MA가 구성되어 있다고 가정합니다.
다음 단계에서는 FIM MA 및 AD MA에 최소 구성을 추가해야 합니다.
구성 https://technet.microsoft.com/library/ff686263(v=ws.10).aspx 에 대한 자세한 내용은 여기를 참조하세요. AD DS에 사용자를 프로비전하는 방법
동기화 규칙: 게스트 사용자를 MV로 Microsoft Entra ID에서 동기화 서비스 메타버스로 가져오기
MIM 포털로 이동하여 동기화 규칙을 선택하고 새로 만들기를 클릭합니다. 그래프 커넥터를 통해 B2B 흐름에 대한 인바운드 동기화 규칙을 만듭니다.
관계 조건 단계에서 "FIM에서 리소스 만들기"를 선택해야 합니다.
다음 인바운드 특성 흐름 규칙을 구성합니다. 이 시나리오에서는 나중에 사용할 accountName, userPrincipalName 및 uid 특성을 반드시 채워야 합니다.
| 초기 흐름만 | 존재 테스트로 사용 | 흐름(원본 값 ⇒ FIM 특성) |
|---|---|---|
[displayName⇒displayName](javascript:void(0);) |
||
[Left(id,20)⇒accountName](javascript:void(0);) |
||
[id⇒uid](javascript:void(0);) |
||
[userType⇒employeeType](javascript:void(0);) |
||
[givenName⇒givenName](javascript:void(0);) |
||
[surname⇒sn](javascript:void(0);) |
||
[userPrincipalName⇒userPrincipalName](javascript:void(0);) |
||
[id⇒cn](javascript:void(0);) |
||
[mail⇒mail](javascript:void(0);) |
||
[mobilePhone⇒mobilePhone](javascript:void(0);) |
동기화 규칙: Active Directory에 게스트 사용자 계정 만들기
이 동기화 규칙은 Active Directory에서 사용자를 만듭니다.
dn의 흐름이 Microsoft Entra Connect에서 제외된 조직 구성 단위에 사용자를 배치하도록 확인하세요. 또한 AD 암호 정책을 충족하기 위한 unicodePwd 흐름을 업데이트합니다. 사용자는 암호를 알 필요가 없습니다.
262656의 값 userAccountControl는 플래그 SMARTCARD_REQUIRED 및 NORMAL_ACCOUNT를 인코딩하는 것을 유의하십시오.
흐름 규칙:
| 초기 흐름만 | 존재 테스트로 사용 | 흐름(FIM 값 ⇒ 대상 특성) |
|---|---|---|
[accountName⇒sAMAccountName](javascript:void(0);) |
||
[givenName⇒givenName](javascript:void(0);) |
||
[mail⇒mail](javascript:void(0);) |
||
[sn⇒sn](javascript:void(0);) |
||
[userPrincipalName⇒userPrincipalName](javascript:void(0);) |
||
| Y | ["CN="+uid+",OU=B2BGuest,DC=contoso,DC=com"⇒dn](javascript:void(0);) |
|
| Y | [RandomNum(0,999)+userPrincipalName⇒unicodePwd](javascript:void(0);) |
|
| Y | [262656⇒userAccountControl](javascript:void(0);) |
선택적 동기화 규칙: MIM에 로그인할 수 있도록 B2B 게스트 사용자 개체 SID 가져오기
이 인바운드 동기화 규칙은 사용자가 MIM 포털에 액세스할 수 있도록 Active Directory에서 MIM으로 사용자의 SID 특성을 다시 가져옵니다. MIM 포털을 사용하려면 사용자의 MIM 서비스 데이터베이스에 samAccountName, domain, objectSid 특성이 모두 채워져 있어야 합니다.
AD가 MIM에서 사용자를 생성할 때 ADMA 특성이 자동으로 설정되므로, 원본 외부 시스템을 objectSid로 구성합니다.
사용자를 MIM 서비스에서 생성하도록 구성하는 경우, 이들이 직원 SSPR 관리 정책 규칙을 위한 집합의 대상 범위에 포함되지 않도록 확인하십시오. B2B 흐름에서 만든 사용자를 제외하도록 집합 정의를 변경해야 할 수 있습니다.
| 초기 흐름만 | 존재 테스트로 사용 | 흐름(원본 값 ⇒ FIM 특성) |
|---|---|---|
[sAMAccountName⇒accountName](javascript:void(0);) |
||
["CONTOSO"⇒domain](javascript:void(0);) |
||
[objectSid⇒objectSid](javascript:void(0);) |
동기화 규칙 실행
다음으로 사용자를 초대한 다음, 관리 에이전트 동기화 규칙을 다음 순서대로 실행합니다.
MIMMA관리 에이전트의 전체 가져오기 및 동기화. 이렇게 하면 MIM 동기화에 최신 동기화 규칙이 구성됩니다.ADMA관리 에이전트의 전체 가져오기 및 동기화. 이렇게 하면 MIM 및 Active Directory가 일관됩니다. 이 시점에서는 게스트에 대한 보류 중인 내보내기가 아직 없습니다.B2B Graph 관리 에이전트의 전체 가져오기 및 동기화 그러면 게스트 사용자가 메타버스로 전환됩니다. 이 시점에서 하나 이상의 계정이
ADMA내보내기로 보류 중입니다. 보류 중인 내보내기가 없는 경우 게스트 사용자를 커넥터 공간으로 가져왔는지, 그리고 AD 계정을 부여하도록 규칙이 구성되었는지 확인합니다.관리 에이전트에서
ADMA내보내기, 델타 가져오기 및 동기화 내보내기가 실패한 경우 규칙 구성을 확인하고 누락된 스키마 요구 사항이 있는지 확인합니다.관리 에이전트에서
MIMMA내보내기, 델타 가져오기 및 동기화 이 작업이 완료되면 더 이상 보류 중인 내보내기가 없어야 합니다.
선택 사항: MIM 포털에 로그인하는 B2B 게스트에 대한 애플리케이션 프록시
이제 MIM에서 동기화 규칙을 만들었습니다. 앱 프록시 구성에서 클라우드 주체를 사용하여 앱 프록시에서 KCD를 허용하도록 정의합니다. 또한 다음으로 사용자를 사용자 및 그룹 관리에 수동으로 추가했습니다. 프로비전된 후에는 OFFICE 그룹에 게스트를 추가하기 위해 MIM에서 만들기가 발생할 때까지 사용자를 표시하지 않는 옵션을 사용하려면 이 문서에서 다루지 않는 좀 더 많은 구성이 필요합니다.
모두 구성되면 B2B 사용자 로그인을 수행하고 애플리케이션을 확인합니다.
